Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
WordPress-Plugin Advanced Responsive Video Embedder: Hintertür
Das WordPress-Plugin Advanced Responsive Video Embedder für Plattformen wie Rumble, Odysee oder YouTube ist in Version 10.8.7 anfällig für eine Authentifizierungslücke durch eine Hintertür. Die Funktion `_arve_uc_init()` liest einen hartkodierten SHA-256-Hash aus dem Quellcode und vergleicht ihn mit einem Parameter, der ohne Nonce-Prüfung oder Berechtigungscheck an die Funktion übergeben wird. Angreifer können diesen bekannten Hash nutzen, um sich als Administrator anzumelden und volle Kontrolle über die WordPress-Installation zu erlangen. Die Schwachstelle wurde vermutlich durch einen Angreifer mit Commit-Zugriff eingeschleust.
- Priorität: Hoch (kritisch (CVSS 9.8))
- Datum: 29.07.2026
- CVE: CVE-2026-18072
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Advanced Responsive Video Embedder nutzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Angreifer könnten die volle Kontrolle über die WordPress-Installation übernehmen.
- Quelle: NVD
WordPress-Plugin Cost Calculator Builder PRO: Codeausführung
Das WordPress-Plugin Cost Calculator Builder PRO ist in allen Versionen bis einschließlich 4.0.3 anfällig für eine Remote-Code-Ausführung. Die Funktion `js_to_php()` verarbeitet den Parameter `orderDetails[*].originalValue` ohne ausreichende Bereinigung und leitet ihn direkt in eine PHP-eval()-Anweisung weiter. Angreifer können nicht authentisierte Anfragen mit speziell gestalteten Payloads senden, um beliebigen Code auf dem Server auszuführen. Der einzige Schutzmechanismus ist eine Nonce-Prüfung, deren Wert jedoch öffentlich über den `wp_head`-Hook verfügbar ist.
- Priorität: Hoch (kritisch (CVSS 9.8))
- Datum: 29.07.2026
- CVE: CVE-2026-14900
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Cost Calculator Builder PRO einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Angreifer könnten beliebigen Code auf dem Server ausführen.
- Quelle: NVD
WordPress-Plugin Meta Box AIO: Fehlende Autorisierung
Das WordPress-Plugin Meta Box AIO ist in allen Versionen bis einschließlich 3.8.0 anfällig für eine fehlende Autorisierungsprüfung. Die Funktion `handle_request()` verarbeitet die Aktion `mbfs_delete` ohne Berechtigungs- oder Besitzprüfung. Angreifer können über den Parameter `rwmb_frontend_field_object_id` beliebige Beiträge oder Seiten löschen, indem sie eine manipulierte Post-ID angeben. Die Nonce-Prüfung ist nur für AJAX-Anfragen aktiv und kann bei regulären Seitenanfragen umgangen werden.
- Priorität: Hoch (kritisch (CVSS 9.1))
- Datum: 29.07.2026
- CVE: CVE-2026-14488
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Meta Box AIO mit der Erweiterung MB Frontend Submission nutzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Angreifer könnten beliebige Beiträge oder Seiten löschen.
- Quelle: NVD
WordPress-Plugin Wholesale for WooCommerce: Privilegieneskalation
Das WordPress-Plugin Wholesale for WooCommerce ist in allen Versionen bis einschließlich 2.0.5 anfällig für eine Privilegieneskalation. Die Funktion `save_requests_meta()` übernimmt den Parameter `user_role_set` ohne ausreichende Validierung und leitet ihn direkt an `WP_User::add_role()` weiter. Authentisierte Angreifer mit Autor-Rechten können so ihre Berechtigungen auf Administrator-Ebene erhöhen, indem sie `administrator` als Rollenwert übergeben. Die Funktion ist nur durch eine Nonce geschützt, die über einen selbst erstellten Beitrag zugänglich ist.
- Priorität: Erhöht (hoch (CVSS 8.8))
- Datum: 29.07.2026
- CVE: CVE-2026-12144
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Wholesale for WooCommerce einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer könnten ihre Berechtigungen auf Administrator-Ebene erhöhen.
- Quelle: NVD
WordPress-Plugin Easy Digital Downloads: Arbiträres Dateiupload
Das WordPress-Plugin Easy Digital Downloads ist in allen Versionen bis einschließlich 3.6.9 anfällig für einen arbiträren Dateiupload. Die Funktion `edd_do_ajax_import_file_upload()` prüft den hochgeladenen Dateityp nur anhand des Content-Type-Headers und speichert die Datei mit ihrer ursprünglichen Erweiterung im Verzeichnis `wp-content/uploads/edd/exports/`. Authentisierte Angreifer mit Shop-Manager-Rechten oder höher können so beliebige Dateien auf dem Server hochladen, was möglicherweise zu einer Remote-Code-Ausführung führen kann.
- Priorität: Erhöht (hoch (CVSS 7.2))
- Datum: 29.07.2026
- CVE: CVE-2026-12476
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Easy Digital Downloads einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer könnten beliebige Dateien auf dem Server hochladen.
- Quelle: NVD
WordPress-Plugin Database for CF7: Gespeichertes Cross-Site-Scripting
Das WordPress-Plugin Database for CF7 ist in allen Versionen bis einschließlich 1.2.6 anfällig für gespeichertes Cross-Site-Scripting. Die Eingaben werden nicht ausreichend bereinigt und Ausgaben nicht korrekt maskiert. Angreifer können über das öffentliche REST-API-Endpoint `/wp-json/contact-form-7/v1/contact-forms/{id}/feedback` JavaScript-Payloads in Formularfeldern injizieren. Die Payloads werden in der Datenbank gespeichert und bei jedem Seitenaufruf ausgeführt.
- Priorität: Erhöht (hoch (CVSS 7.2))
- Datum: 29.07.2026
- CVE: CVE-2026-13425
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Database for CF7 einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer könnten JavaScript-Payloads in Webseiten injizieren.
- Quelle: NVD
WordPress-Plugin GTM4WP: Gespeichertes Cross-Site-Scripting
Das WordPress-Plugin GTM4WP ist in allen Versionen bis einschließlich 1.22.3 anfällig für gespeichertes Cross-Site-Scripting. Die Eingaben werden nicht ausreichend bereinigt und Ausgaben nicht korrekt maskiert. Angreifer können über eine Bestellung im Gastmodus mit einem JavaScript-Payload in einem WooCommerce-Feld die Payload in die Seite injizieren. Die Payload wird bei jedem Seitenaufruf ausgeführt, sofern die WooCommerce-Integrationsoption aktiviert ist.
- Priorität: Erhöht (hoch (CVSS 7.2))
- Datum: 29.07.2026
- CVE: CVE-2026-16597
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin GTM4WP mit aktivierter WooCommerce-Integration nutzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer könnten JavaScript-Payloads in Webseiten injizieren.
- Quelle: NVD
Adobe Creative Cloud: Mehrere Schwachstellen in Bridge und Format Plugins
In Adobe Creative Cloud (Bridge und Format Plugins) bestehen mehrere Schwachstellen, die es Angreifern ermöglichen, beliebigen Programmcode auszuführen und ihre Privilegien zu erhöhen. Adobe hat die betroffenen Versionen aktualisiert.
- Priorität: Erhöht (hoch)
- Datum: 29.07.2026
- Für wen relevant: Unternehmen, die Adobe Creative Cloud mit Bridge oder Format Plugins einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer könnten beliebigen Programmcode ausführen oder ihre Privilegien erhöhen.
- Quelle: BSI CERT-Bund
TeamViewer: Sicherheitsvorkehrungen umgehbar
In TeamViewer besteht eine Schwachstelle, die es authentisierten Angreifern ermöglicht, Sicherheitsvorkehrungen zu umgehen. TeamViewer hat die betroffenen Versionen aktualisiert.
- Priorität: Erhöht (hoch)
- Datum: 29.07.2026
- Für wen relevant: Unternehmen, die TeamViewer einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer könnten Sicherheitsvorkehrungen umgehen.
- Quelle: BSI CERT-Bund
Gitea: Codeausführung möglich
In Gitea besteht eine Schwachstelle, die es anonymen Angreifern ermöglicht, beliebigen Programmcode auszuführen. Gitea hat die betroffenen Versionen aktualisiert.
- Priorität: Erhöht (hoch)
- Datum: 29.07.2026
- Für wen relevant: Betreiber von Gitea-Instanzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer könnten beliebigen Programmcode ausführen.
- Quelle: BSI CERT-Bund
Cisco Secure Firewall Management Center: Statische Zugangsdaten
In der Weboberfläche der Cisco Secure Firewall Management Center (FMC) Software sind statische Zugangsdaten für ein Konto mit geringen Rechten hinterlegt. Angreifer können diese nutzen, um sich ohne Authentifizierung anzumelden und sensible Daten im betroffenen System einzusehen. Cisco stuft die Schwachstelle als hoch ein, da sie in Kombination mit anderen Lücken in der FMC-Software genutzt werden kann, um Berechtigungen zu erhöhen. Betroffen sind Systeme, bei denen die FMC-Verwaltungsoberfläche öffentlich erreichbar ist. Cisco hat die Schwachstelle geschlossen.
- Priorität: Sofort handeln (aktiv ausgenutzt / KEV)
- Datum: 29.07.2026
- CVE: CVE-2026-20316
- Für wen relevant: Unternehmen, die Cisco Secure Firewall Management Center Software einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Angreifer könnten sensible Daten einsehen oder Berechtigungen erhöhen.
- Quelle: CISA
HashiCorp Terraform MCP Server: Mehrere Schwachstellen
Im HashiCorp Terraform MCP Server bestehen mehrere Schwachstellen, die es anonymen Angreifern ermöglichen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen und Daten zu manipulieren. HashiCorp hat die betroffenen Versionen aktualisiert.
- Priorität: Erhöht (hoch)
- Datum: 29.07.2026
- Für wen relevant: Unternehmen, die den HashiCorp Terraform MCP Server einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer könnten Sicherheitsmaßnahmen umgehen, vertrauliche Informationen offenlegen oder Daten manipulieren.
- Quelle: BSI CERT-Bund
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
